如何設定 SCEP 以實現安全企業 WiFi 與 BYOD 佈署

歡迎收看 Purple 的技術簡報。我是您的主持人，今天我們將深入探討 SCEP 的配置，以實現安全的企業 WiFi 和 BYOD 佈署。 對於在餐飲旅宿、零售和公共部門營運的 IT 經理、網路架構師和 CTO 而言，管理網路存取是一場在安全與營運效率之間不斷進行的平衡拉鋸。您每天都要處理數百、甚至數千台連接到網路的裝置。員工的智慧型手機、承包商的筆記型電腦、銷售點（POS）平板電腦。而過去處理這些問題的舊方法，現在已經不夠用了。 依賴預共用金鑰（PSK）來進行員工和 BYOD WiFi 連線，是一個隨時可能被利用的安全漏洞。共用密碼一旦外洩，任何人都可以存取您的網路。而 MAC 驗證旁路（MAB）也沒有好到哪裡去。現代智慧型手機預設使用隨機 MAC 位址，這會完全破壞 MAB 的運作，而且 MAC 位址在幾秒鐘內就能被偽造。 現代網路架構需要使用 EAP-TLS 的 802.1X 驗證。這能確保每台裝置在接觸網路之前，都經過密碼學驗證。但挑戰在於：您要如何在不讓技術支援團隊工作量過載的情況下，將唯一的用戶端憑證分發給數千台未受管理的裝置？答案就是簡單憑證登冊協定（SCEP）。 讓我們從架構開始。SCEP 是企業裝置登冊的業界標準，定義於 RFC 8894 中。它自 1999 年由 VeriSign 創立以來就一直存在，並且經受住了時間的考驗，因為它優雅地解決了一個真正棘手的難題。 在 SCEP 工作流程中，裝置會在本地端自行產生其私鑰和公鑰對。它會建立一個憑證簽署要求（CSR），並透過網路裝置登冊服務（NDES）將其傳送至您的憑證授權單位（CA）。CA 會驗證該要求，並將簽署的公鑰憑證傳回給裝置。 這裡關鍵的安全優勢在於，私鑰永遠不會離開裝置。它是在本地端產生，並儲存在裝置的硬體安全隔離區中。在 Windows 筆記型電腦上，那是信賴平台模組（TPM）。在 iPhone 上，則是 Secure Enclave。私鑰絕不會透過網路傳輸。這就是為什麼 SCEP 在網路驗證方面遠優於 PKCS 等替代方案的原因，因為在 PKCS 中，CA 會集中產生金鑰對並將其傳輸至裝置。 現在，讓我們來談談 BYOD。從營運的角度來看，這正是真正有趣的地方。您希望員工能夠使用他們的個人裝置來存取內部工具，但您不想強迫他們登冊到您的企業 MDM 中。這涉及隱私疑慮，且會面臨員工的強烈抵制。 此解決方案是一個自助式註冊入口網站。其運作方式如下：使用者將其個人裝置連線至專用的佈署 SSID。此網路為圍牆花園（walled garden），限制存取除註冊入口網站和您的身分識別提供者之外的所有內容。使用者使用其企業憑證進行驗證，通常是透過與 Microsoft Entra ID、Okta 或 Google Workspace 的 SAML 整合。驗證成功後，系統會透過 SCEP 產生一個唯一的、裝置專屬的用戶端憑證。設定設定檔會被推送到該裝置，其中包含該憑證、根 CA 憑證和網路設定。接著，裝置會使用 EAP-TLS 自動連線至安全的企業 SSID。 這對使用者而言是無縫的，對企業而言是安全的。他們不需要了解任何關於憑證或 802.1X 的知識。他們只需登入一次即可連線。 現在，讓我們詳細介紹實作步驟。部署順序至關重要，順序錯誤是導致失敗最常見的原因。 步驟一：部署信任的根憑證。在任何裝置可以要求用戶端憑證或信任您的 RADIUS 伺服器之前，它必須信任發行憑證授權單位。將您的根 CA 憑證匯出為 .cer 檔案，並將其部署到您的目標裝置群組。此步驟不容妥協。沒有它，整個鏈結都會失敗。 步驟二：設定 SCEP 憑證設定檔。這會指示裝置如何取得其用戶端憑證。您需要設定主體名稱格式。對於使用者驅動的驗證，標準是 CN 等於 UserPrincipalName。對於裝置驗證，請使用 CN 等於 Azure AD 裝置 ID。將金鑰用途設定為數位簽章和金鑰加密。在延伸金鑰用途下，指定 OID 為 1.3.6.1.5.5.7.3.2 的用戶端驗證。將此設定檔連結至步驟一中信任的根憑證設定檔。並提供您 NDES 伺服器的外部 URL。 步驟三：部署 802.1X WiFi 設定檔。這會將憑證與網路 SSID 綁定。輸入與您的存取點廣播完全相同的網路名稱。將安全性類型設定為 WPA2-Enterprise 或 WPA3-Enterprise。將 EAP 類型設定為 EAP-TLS。選取 SCEP 憑證設定檔作為用戶端驗證憑證。並指定用於伺服器驗證的信任根憑證。 這個順序是整個簡報中最需要記住的重點。先信任，再憑證，最後 WiFi。每次都必須遵守這個順序。 現在，讓我為您介紹一些能在實際生產環境中為您省去大麻煩的最佳實踐。 首先，透過 Azure AD Application Proxy 發佈您的 NDES 伺服器。NDES 伺服器必須可從網際網路存取，以便遠端裝置在到達現場之前能夠佈署憑證。但將內部伺服器直接暴露給網際網路是重大的安全性風險。Application Proxy 可為您提供安全的遠端存取，而無需開啟輸入防火牆連接埠。 第二，針對 BYOD 裝置實施短期憑證。與其核發有效期為三年的憑證，不如核發有效期為 90 天的憑證。當憑證過期時，使用者必須透過 onboarding 門戶重新進行驗證。這能自然地從網路中清除閒置裝置。90 天內未使用的裝置會直接斷開連接，無需手動清理。 第三，這點至關重要，請設定您的 RADIUS 伺服器以執行嚴格的憑證撤銷清單（CRL）檢查。當員工離職時，如果其用戶端憑證仍然有效，停用其 Active Directory 帳戶可能無法立即撤銷其 WiFi 存取權限。您的 RADIUS 伺服器在授予存取權限之前必須檢查 CRL。請確保您的 CRL 發佈點具有高可用性。如果 RADIUS 伺服器無法連線至 CRL，所有人的驗證都會失敗，這將導致大規模的斷網。 現在，讓我們來看看一些常見的失敗模式以及如何避免它們。 最常見的問題是 WiFi 設定檔套用失敗。裝置接收到了信任的根憑證和 SCEP 憑證，但 WiFi 設定檔在 MDM 主控台中顯示為「錯誤」。十之八九，這是群組目標不匹配所致。如果 SCEP 設定檔分配給「使用者群組」，而 WiFi 設定檔分配給「裝置群組」，MDM 則無法解析此相依性。請稽核您的分配，確保這三個設定檔都指向完全相同的群組。 第二個常見問題是 NDES 403 Forbidden 錯誤。裝置無法取得 SCEP 憑證，且 NDES IIS 記錄顯示 HTTP 403 錯誤。這通常是因為連接器服務帳戶缺少憑證範本上的必要權限，或是防火牆封鎖了 SCEP 所使用的特定查詢字串參數。請驗證連接器帳戶在 CA 範本上是否具有「讀取」和「註冊」權限。檢查您的防火牆記錄，確保未封鎖包含 operation equals GetCACaps 參數的 URL。 讓我提供兩個真實世界的案例，以說明這在實務中是如何運作的。 案例一：一家擁有 200 間客房的飯店，有 50 名房務人員使用個人智慧型手機存取排班應用程式。IT 經理希望避免完整的 MDM 註冊以尊重員工隱私。解決方案是整合 Microsoft Entra ID 的自助服務門戶。員工連線至佈署 SSID，使用其 Entra ID 認證登入，並下載 SCEP 設定檔。SCEP 伺服器直接向裝置核發為期 30 天的用戶端憑證。裝置使用 EAP-TLS 連線至員工 WiFi SSID。RADIUS 伺服器將這些裝置分配到僅允許存取排班應用程式的受限 VLAN。當員工離職時，其 Entra ID 帳戶會被停用，RADIUS 伺服器會立即拒絕其網路存取。 情境二：一家擁有 500 家門市的全國零售連鎖店，為公司擁有的銷售點（POS）平板電腦部署安全的 WiFi。網路架構師需要確保即使平板電腦被盜，憑證也無法被提取。解決方案是透過 Microsoft Intune 使用 SCEP 部署憑證。Intune 推送信任的根憑證（Trusted Root certificate），隨後推送 SCEP 設定檔，指示平板電腦在其硬體安全記憶體（secure enclave）中產生自己的私鑰。平板電腦向 NDES 伺服器提交 CSR，接收用戶端憑證，並使用 EAP-TLS 連線到 Retail POS SSID。由於私鑰是在本地產生且從不傳輸，因此被盜平板電腦的憑證無法在其他地方使用。這符合 PCI DSS 合規性要求。 現在，讓我們來談談商業案例。過渡到 SCEP 802.1X 憑證部署，可在安全性和營運方面帶來可衡量的回報。 基於密碼的 WiFi 會產生大量的技術支援工單。密碼過期、鎖定、打錯字。基於憑證的驗證對使用者來說是無感的。裝置會自動連線。這通常能減少 70% 與 WiFi 相關的技術支援工作量。這是營運成本的實質降低。 EAP-TLS 消除了解析憑證和中間人（Man-in-the-Middle）攻擊的風險。這對於零售環境中符合 PCI DSS 以及所有產業符合 GDPR 至關重要。資料外洩的成本遠遠超過部署適當 PKI 基礎架構的成本。 對於已經運行 Purple 的 Guest WiFi 和分析平台的企業組織，將安全上網引導（onboarding）擴展到員工的 BYOD 裝置，可提供統一的網路管理策略。Purple 與硬體無關的雲端重疊網路（cloud overlay）與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 整合，因此您不會被單一硬體廠商綁定。Purple 在 80,000 個實體場域運作，並在 2024 年處理了 4.4 億次登入，持有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 認證。 最後，讓我快速總結您需要做出的關鍵決策。 您應該使用 SCEP 還是 PKCS？將 SCEP 用於 WiFi 驗證。私鑰會保留在裝置上。僅在需要金鑰代管（key escrow）的電子郵件加密中才使用 PKCS。 憑證的有效期應該是多久？BYOD 為 90 天。公司託管裝置為一到兩年。 您應該在 MDM 中使用使用者定位還是裝置定位？對於需要在使用者登入前進行連線的公司裝置，請使用裝置定位。對於憑證應與個人綁定的 BYOD，請使用使用者定位。 您如何處理 Android 碎片化？盡可能使用 Passpoint（也稱為 Hotspot 2.0）。它在不同的 Android 製造商之間提供了致的連線體驗。 最後，最重要且必須做對的一件事是什麼？在您的 RADIUS 伺服器上進行 CRL 檢查。如果沒有它，已撤銷的憑證仍然可以授予網路存取權限。 今天的簡報到此結束。如果您想深入了解其中任何主題，Purple 網站 (purple.ai) 上已提供關於企業 WiFi 安全和 EAP-TLS 憑證驗證的 Purple 技術指南。感謝您的收聽。